DNSChanger, una moda... ¿de 2008?
De vez en cuando, alguien lanza la voz de alarma, y se pone de "moda" alguna familia de malware, independientemente de su peligrosidad. Leemos en titulares lo que parece ser el apocalipsis del
malware. Lo peor es sospechar que la moda es en realidad de 2008.
Con titulares como "Llega un virus alta peligrosidad "DNS Changer"" y frases como "diversos organismos de seguridad en Internet a nivel mundial han alertado de la peligrosidad del virus DNS Changer, [...] de
difícil erradicación en los ordenadores afectados." Desinforman y meten el miedo en el cuerpo, alejando al usuario de otros peligros mucho más reales y complejos. Veamos qué está pasando realmente.
buscamos por "Dnschanger" en la base de datos de Virus Total . Esto siempre tiene sus riesgos, puesto que la nomenclatura actual de las firmas es un absoluto desastre, y pocas veces se ponen de acuerdo. Aun así los resultados, ordenados por las veces que han llegado, son de las últimas dos semanas.
Comprobamos que unos pocos bichos de 2008-2009 han "vuelto" y han sido muy enviados en las últimas semanas. El primero, con 1.282 envíos, ni siquiera es un DNSChanger, sino un keygen para piratear un programa comercial. Así que tenemos muy pocas muestras de 2012 catalogadas más o menos de forma unánime como DNSChanger, pero sí algunas que, desde 2008, han vuelto a la "brecha" volviendo a ser muy enviadas a VirusTotal.
¿Se ha puesto de moda malware de 2008?
Pues eso parece. Leyendo las características de ese DNSChanger, vemos que su principal objetivo es modificar los servidores DNS en local de la máquina hacia estos rangos:
85.255.112.0 hasta 85.255.127.255
67.210.0.0 hasta 67.210.15.255
93.188.160.0 hasta 93.188.167.255
77.67.83.0 hasta 77.67.83.255
213.109.64.0 hasta 213.109.79.255
64.28.176.0 hasta 64.28.191.255
Efectivamente, analizando la muestra que más veces ha llegado en las últimas dos semanas, vemos que, tras un menú que simula ser un programa de codecs. Termina cambiando los DNS. El programa hace poco más (crea ficheros con nombres como freebsd.exe y notepad.exe en el temporal, no se sabe bien
por qué).
Ahora, con estos DNS, Google no va donde debería, por ejemplo:
Analizando estos troyanos, hemos recordado anuncios anteriores en UAD,
por ejemplo
http://unaaldia.hispasec.com/
Donde se hablaba de mejoras en este malware. Curiosamente, el rango de
direcciones IP de los DNS falsos sigue siendo el mismo. Tras varias
muestras, se consigue extraer estos DNS falsos:
85.255.113.205, 85.255.112.144, 85.255.114.75, 85.255.112.212,
85.255.116.71 y 85.255.112.63.
Efectivamente, en el rango anunciado.
¿Es un "revival" de un malware antiguo?
Tampoco se puede asegurar totalmente, pero todo indica que más o menos
es así. todo apunta a que es esto lo que está ocurriendo. Aunque también puede ser que estemos hablando de malware que no está en VirusTotal, o que no hemos sabido encontrar por ese nombre...
quién sabe.
Desde luego, si es el caso, este malware no es en absoluto de "difícil
erradicación"... basta con cambiar los DNS locales de la máquina. Y su
peligrosidad es muy limitada comparada con la sofisticación que podemos
encontrar ahí fuera.
Protegerse de verdad
Como siempre que hay una alerta mediática, aparecen métodos y
herramientas para protegerse. En realidad el método más eficaz para
evitar que algo o alguien te modifique los DNS ya está inventado: son
los permisos nativos de Windows. Los datos de las interfaces de red se
almacenan en el registro.
HKEY_LOCAL_MACHINE\SYSTEM\
Si somos usuarios, no podremos cambiarlo. Si somos administradores...
debemos impedirnos a nosotros mismos y a todo lo que ejecutemos que
pueda modificar sus valores. Con el botón derecho sobre esa rama,
cambiamos los permisos y eliminamos el "control total" sobre los
administradores. Ya nadie podrá cambiar las propiedades de nuestras
interfaces de red. Esto es lo más efectivo (siempre que recuerdes que lo
has cambiado y reviertas la configuración cuando sea necesario).
Fuente : Hispasec
Comentarios
Publicar un comentario